Les eines d'intel·ligència artificial generativa s'han convertit en un aliat quotidià en el treball: resumir documents, redactar correus o analitzar informació en segons. El gest és simple i cada vegada més habitual: copiar un text, enganxar-lo a una eina d'IA i demanar un resultat.
No obstant això, darrere d'aquesta aparent innocuïtat s'amaga un dels principals riscos actuals en protecció de dades i seguretat de la informació. El problema no acostuma ser la resposta que genera la IA, sinó les dades que introduïm en ella.
L'Agència Espanyola de Protecció de Dades (AEPD) ho ha recordat recentment en el seu Decàleg de recomanacions per a protegir la privacitat en usar intel·ligència artificial, en el qual adverteix dels riscos de compartir informació sensible amb aquesta mena d'eines sense analitzar prèviament el seu impacte.
1. L'origen de molts incidents: un simple «copiar i enganxar»
Gran part dels incidents vinculats a l'anomenat Shadow AI—ús d'eines d'IA fora dels canals autoritzats per l'organització—comencen amb una acció aparentment trivial.
Un empleat necessita ajuda per a revisar un text, resumir un contracte o entendre un informe. Copia el contingut i l’enganxa a una eina d'IA generativa per a obtenir una resposta ràpida. En aquest moment, sense ser plenament conscient, pot estar introduint en un sistema extern informació confidencial, dades personals o informació estratègica de l'empresa.
Segons l'AEPD, abans d'utilitzar aquestes eines és fonamental avaluar quin tipus d'informació s'està compartint i si el servei garanteix un ús adequat de les dades.
2. La pèrdua de control de la dada
Quan s'introdueix informació en una eina d'IA generativa, l'usuari pot perdre visibilitat sobre com es gestiona aquest contingut. Depenent del proveïdor i de la seva configuració, les dades poden:
- Emmagatzemar-se temporalment o durant més temps de l'esperat.
- Utilitzar-se per a millorar o entrenar models.
- Generar registres d'ús o metadades.
- Processar-se en infraestructures situades fora de l'Espai Econòmic Europeu.
Això no significa que totes les eines utilitzin les dades amb aquests fins, però sí que el control sobre la informació pot diluir-se si no s'analitzen prèviament les condicions d'ús del servei.
Per això, l'AEPD insisteix que l'ús responsable de la IA implica conèixer què passa amb les dades introduïdes i quines garanties ofereix el proveïdor.
3. Una llista breu del que mai hauria de sortir del perímetre
Per a reduir riscos, una bona pràctica consisteix a establir regles clares sobre quin tipus d'informació no ha d'introduir-se en eines d'IA generativa. Entre els exemples més habituals es troben:
- Dades personals de clients o empleats.
- Documents contractuals confidencials.
- Informació financera o estratègica de l'empresa.
- Credencials, claus o informació d'accés a sistemes.
- Bases de dades internes o llistats de clients.
Aquest tipus d'informació forma part del perímetre de seguretat de l'organització, i la seva exposició en plataformes externes pot generar riscos legals, reputacionals o de seguretat.
Conclusió: el problema no és utilitzar IA, sinó com s’utilitza
La intel·ligència artificial generativa pot aportar grans beneficis en termes de productivitat i innovació. El repte està a utilitzar-la amb criteris clars de governança de la dada.
El major risc no acostuma a ser la resposta que produeix l'eina, sinó el contingut que s'introdueix en ella sense una avaluació prèvia. Per això, les organitzacions necessiten polítiques internes, formació i criteris clars sobre l'ús d'aquestes tecnologies.
Perquè en l'era de la IA generativa, la pregunta clau ja no és si utilitzem aquestes eines, sinó quina informació estem disposats a compartir amb elles.
Com sempre, cuideu les dades i cuideu-vos!
